Salamandras invisíveis
Um ataque em que um único texto cifrado AES-GCM decifra para duas imagens diferentes conforme a chave, e que enganou o sistema de denúncia de abuso do Facebook Messenger.
Yevgeniy Dodis, Paul Grubbs, Thomas Ristenpart e Joy Woodage o apresentaram na CRYPTO 2018. O Messenger permitia denunciar anexos criptografados, e a denúncia deveria provar o que o remetente de fato enviou. Mas o AES-GCM não tem comprometimento de chave: com um pouco de álgebra, é possível montar um texto cifrado cuja tag de autenticação é válida sob duas chaves diferentes. O destinatário vê algo abusivo, enquanto quem analisa a denúncia decifra com a outra chave e encontra uma salamandra inofensiva.
O Facebook corrigiu e pagou uma recompensa por bug. A lição sobreviveu ao aplicativo: o AEAD promete confidencialidade e integridade, mas não que um texto cifrado tenha uma única leitura válida. O comprometimento de chave virou um requisito de projeto por mérito próprio, e a mesma fraqueza voltou em 2021 como o ataque de oráculo de particionamento.